Certificates
Ucz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się i ćwicz Hacking GCP:
HackTricks Training GCP Red Team Expert (GRTE)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F600722126-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FJtticLwENZ4i7WwgHiQe%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=830177ae&sv=1)
Użyj Trickest, aby łatwo budować i automatyzować przepływy pracy zasilane przez najbardziej zaawansowane narzędzia społecznościowe na świecie. Uzyskaj dostęp już dziś:
Czym jest certyfikat
Certyfikat klucza publicznego to cyfrowy identyfikator używany w kryptografii do udowodnienia, że ktoś posiada klucz publiczny. Zawiera szczegóły klucza, tożsamość właściciela (temat) oraz podpis cyfrowy od zaufanej instytucji (wydawcy). Jeśli oprogramowanie ufa wydawcy, a podpis jest ważny, możliwa jest bezpieczna komunikacja z właścicielem klucza.
Certyfikaty są głównie wydawane przez władze certyfikacyjne (CA) w ramach infrastruktury klucza publicznego (PKI). Inną metodą jest sieć zaufania, w której użytkownicy bezpośrednio weryfikują klucze innych. Powszechnym formatem certyfikatów jest X.509, który można dostosować do specyficznych potrzeb, jak opisano w RFC 5280.
x509 Wspólne pola
Wspólne pola w certyfikatach x509
W certyfikatach x509 kilka pól odgrywa kluczowe role w zapewnieniu ważności i bezpieczeństwa certyfikatu. Oto podział tych pól:
Numer wersji oznacza wersję formatu x509.
Numer seryjny unikalnie identyfikuje certyfikat w systemie Władzy Certyfikacyjnej (CA), głównie do śledzenia unieważnień.
Pole Subject reprezentuje właściciela certyfikatu, którym może być maszyna, osoba lub organizacja. Zawiera szczegółową identyfikację, taką jak:
Common Name (CN): Domeny objęte certyfikatem.
Kraj (C), Lokalizacja (L), Stan lub Prowincja (ST, S lub P), Organizacja (O) i Jednostka Organizacyjna (OU) dostarczają szczegóły geograficzne i organizacyjne.
Distinguished Name (DN) obejmuje pełną identyfikację podmiotu.
Issuer szczegółowo opisuje, kto zweryfikował i podpisał certyfikat, w tym podobne podpola jak Subject dla CA.
Okres ważności oznaczony jest znacznikami Not Before i Not After, zapewniając, że certyfikat nie jest używany przed lub po określonej dacie.
Sekcja Public Key, kluczowa dla bezpieczeństwa certyfikatu, określa algorytm, rozmiar i inne szczegóły techniczne klucza publicznego.
Rozszerzenia x509v3 zwiększają funkcjonalność certyfikatu, określając Key Usage, Extended Key Usage, Subject Alternative Name i inne właściwości, aby dostosować zastosowanie certyfikatu.
Key Usage i rozszerzenia
Key Usage identyfikuje kryptograficzne zastosowania klucza publicznego, takie jak podpis cyfrowy lub szyfrowanie klucza.
Extended Key Usage dodatkowo zawęża przypadki użycia certyfikatu, np. do uwierzytelniania serwera TLS.
Subject Alternative Name i Basic Constraint definiują dodatkowe nazwy hostów objęte certyfikatem oraz czy jest to certyfikat CA czy certyfikat końcowy.
Identyfikatory takie jak Subject Key Identifier i Authority Key Identifier zapewniają unikalność i śledzenie kluczy.
Authority Information Access i CRL Distribution Points dostarczają ścieżek do weryfikacji wydającej CA i sprawdzenia statusu unieważnienia certyfikatu.
CT Precertificate SCTs oferują dzienniki przejrzystości, kluczowe dla publicznego zaufania do certyfikatu.
Różnica między OCSP a punktami dystrybucji CRL
OCSP (RFC 2560) polega na współpracy klienta i respondenta w celu sprawdzenia, czy cyfrowy certyfikat klucza publicznego został unieważniony, bez potrzeby pobierania pełnej CRL. Ta metoda jest bardziej efektywna niż tradycyjna CRL, która dostarcza listę unieważnionych numerów seryjnych certyfikatów, ale wymaga pobrania potencjalnie dużego pliku. CRL mogą zawierać do 512 wpisów. Więcej szczegółów można znaleźć tutaj.
Czym jest przejrzystość certyfikatów
Przejrzystość certyfikatów pomaga w zwalczaniu zagrożeń związanych z certyfikatami, zapewniając, że wydanie i istnienie certyfikatów SSL są widoczne dla właścicieli domen, CA i użytkowników. Jej cele to:
Zapobieganie wydawaniu certyfikatów SSL dla domeny bez wiedzy właściciela domeny.
Ustanowienie otwartego systemu audytowego do śledzenia błędnie lub złośliwie wydanych certyfikatów.
Ochrona użytkowników przed fałszywymi certyfikatami.
Logi certyfikatów
Logi certyfikatów to publicznie audytowalne, tylko do dopisywania rejestry certyfikatów, prowadzone przez usługi sieciowe. Logi te dostarczają dowodów kryptograficznych do celów audytowych. Zarówno organy wydające, jak i publiczność mogą przesyłać certyfikaty do tych logów lub zapytywać je w celu weryfikacji. Chociaż dokładna liczba serwerów logów nie jest ustalona, oczekuje się, że będzie ich mniej niż tysiąc na całym świecie. Serwery te mogą być zarządzane niezależnie przez CA, ISP lub jakąkolwiek zainteresowaną jednostkę.
Zapytanie
Aby zbadać logi przejrzystości certyfikatów dla dowolnej domeny, odwiedź https://crt.sh/.
Istnieją różne formaty przechowywania certyfikatów, z których każdy ma swoje zastosowania i kompatybilność. To podsumowanie obejmuje główne formaty i dostarcza wskazówek dotyczących konwersji między nimi.
Formaty
Format PEM
Najczęściej używany format dla certyfikatów.
Wymaga oddzielnych plików dla certyfikatów i kluczy prywatnych, zakodowanych w Base64 ASCII.
Powszechne rozszerzenia: .cer, .crt, .pem, .key.
Głównie używany przez Apache i podobne serwery.
Format DER
Format binarny certyfikatów.
Brak "BEGIN/END CERTIFICATE" znajdujących się w plikach PEM.
Powszechne rozszerzenia: .cer, .der.
Często używany z platformami Java.
Format P7B/PKCS#7
Przechowywany w Base64 ASCII, z rozszerzeniami .p7b lub .p7c.
Zawiera tylko certyfikaty i certyfikaty łańcucha, wykluczając klucz prywatny.
Obsługiwany przez Microsoft Windows i Java Tomcat.
Format PFX/P12/PKCS#12
Format binarny, który kapsułkuje certyfikaty serwera, certyfikaty pośrednie i klucze prywatne w jednym pliku.
Rozszerzenia: .pfx, .p12.
Głównie używany w systemie Windows do importu i eksportu certyfikatów.
Konwersja formatów
Konwersje PEM są niezbędne dla kompatybilności:
x509 do PEM
PEM do DER
DER do PEM
PEM do P7B
PKCS7 do PEM
Konwersje PFX są kluczowe dla zarządzania certyfikatami w systemie Windows:
PFX do PEM
PFX do PKCS#8 obejmuje dwa kroki:
Konwersja PFX na PEM
Konwertuj PEM na PKCS8
P7B do PFX wymaga również dwóch poleceń:
Konwertuj P7B na CER
Konwertuj CER i klucz prywatny na PFX
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F600722126-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FJtticLwENZ4i7WwgHiQe%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=830177ae&sv=1)
Użyj Trickest, aby łatwo budować i automatyzować przepływy pracy zasilane przez najbardziej zaawansowane narzędzia społecznościowe na świecie. Uzyskaj dostęp już dziś:
Ucz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się i ćwicz Hacking GCP:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated